Usmjereni ili premošteni VPN: birajte prema tome do čega klijent mora doći

Dvije prijave stižu istog dana: jednom korisniku treba interna web aplikacija, a jednom inženjeru treba da se stolni instrument ponaša kao da stoji na istom Ethernet segmentu. Na obje se odgovara sa stavi ih na VPN, i tu nevolja počinje. Usmjereni tunel i premošteni tunel uspostavljaju različite odnose, a samo jedan od njih odgovara svakom zahtjevu. Odabir topologije je odluka o pristupu, a ne kriptografska postavka.

Dva zahtjeva koja na šalteru izgledaju isto

Zahtjev zaposlenika je usluga, dostupna preko IP-a, s uređaja koji ne kontrolirate. Zahtjev inženjera je na razini veze: instrument očekuje da vidi Ethernet okvire i broadcast otkrivanje, a moguće i DHCP sa segmenta na kojem misli da se nalazi.

To su različita pitanja, a odgovor na oba mostom bez razloga proširuje pristup zaposlenika na cijeli uredski LAN.

Zapišite zahtjev kao rečenicu prije odabira: koja odredišta, koji protokoli i koji partneri moraju izgledati lokalno. Ako je odgovor host i port, usmjeravanje to pokriva. Ako je odgovor odnos na razini okvira s uređajima koji govore samo broadcast, most je možda jedina opcija. Sve između zaslužuje testni segment umjesto produkcijskog LAN-a.

Ruta je uža od članstva u LAN-u

Usmjereni klijent dobija adresu na podmreži tunela i rute za prefikse koje odaberete. Može doći do aplikacijskog servera i ničega drugog, ako to politika kaže. Gateway postaje točka provedbe, pod uslovom da svaki relevantni put prolazi kroz njega.

Ne miješajte rutu s dozvolom. Reći klijentu kako doći do podmreže ne sprječava ga da pokuša drugo odredište.

Primijenite kontrolu pristupa tamo gdje stvarno može provesti tok, a zadržite vlastite dozvole aplikacije. Široko pravilo prosljeđivanja ili zaboravljeni drugi interfejs mogu dati više nego što dijagram sugerira. Čitajte važeća pravila, a ne zamišljena. Zatim testirajte odredište koje mora propasti, jer politika koju nitko nije pokušao prekršiti je hipoteza.

Most mijenja pitanje prijema

Premošćivanje spaja fizički interfejs i TAP uređaj u softverski prekidač, pa se udaljeni uređaji pridružuju istoj broadcast domeni. To je stvarna sposobnost i stvaran rizik: udaljeni uređaj više nije usmjereni gost, on je učesnik.

Odlučite koji uređaji smiju pristupiti, koje vrste okvira moraju proći i gdje se neželjena interakcija blokira. Adresiranje i ovlaštenje za DHCP postaju dio dijeljene mreže, a dva DHCP servera na jednom segmentu proizvode upravo nered koji očekujete.

Za instrument je namjenski testni segment obično bolji izbor od uredskog LAN-a. Držite upravljački pristup izvan eksperimenta i definišite kako se privremeni učesnik uklanja kad posao završi.

Filtriranje postoji u obje topologije

Most nije sam po sebi nefiltriran, a ruta nije sam po sebi sigurna. Filtriranje mostova u Linuxu ima svoje kuke i svoju sintaksu pravila, a pravilo napisano za usmjereno IP prosljeđivanje ne primjenjuje se automatski na premoštene okvire.

Provjerite šta platforma zaista podržava prije nego što obećate granicu:

bridge link show
nft list ruleset

TUN i TAP opisuju promet interfejsa, a ne šifru. Promjena interfejsa ne rješava ništa od toga: autentifikacija partnera, ukradeni ključ i zastarjela kriptografska politika svi preživljavaju promjenu. Obje strane još uvijek trebaju postavke koje se poklapaju i koje su još uvijek podržane.

Dokažite granicu s tri pokušaja

Prijem su tri zapažanja, a ne pregled dijagrama. Potrebna operacija mora raditi, nepovezano odredište mora propasti, a vlastite upravljačke usluge gatewaya moraju ostati van domašaja.

Pokrenite dopuštenu i odbijenu putanju s istog klijenta i zabilježite obje:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Za most dodajte provjere na razini veze: prelazi li dopušteni promet otkrivanja, dolazi li adresiranje od predviđenog ovlaštenja i je li privremeni učesnik nestao nakon uklanjanja. Kad obični usmjereni IP već zadovoljava zahtjev, pridruživanje uredskom Ethernet segmentu traži zasebno opravdanje i ono treba biti zapisano prije promjene.